ACL

ACLは、ネットワークデバイスへの出入りを許可するトラフィックを定義する、ネットワークセキュリティおよびトラフィック制御技術です。特定の種類のトラフィックを許可または拒否するルールを設定することで、データパケットの伝送を制御します。ACLは1つ以上のルールの集合であり、各ルールは一致条件、送信元アドレス、宛先アドレス、またはポート番号を指定する具体的な記述です。

ACLの仕組み

ネットワークを会社に例えると、会社の入口には警備員がいます。警備員は会社関係者の一覧 (ACL) を持っており、そこには誰が入場でき、誰が入場を許可されていないかが記載されています。データパケットがネットワークに入ろうとすると、デバイスはACLに従って順番に確認します。定められたルールに合致する場合、データパケットの進入が許可されます。ルールに合致しない場合、データパケットはネットワークへのアクセスを拒否されます。一般的に、ACLルールは通常、次のパラメータに基づきます:

送信元IPアドレス: データパケットの送信元アドレス。

宛先IPアドレス: データパケットの宛先アドレス。

送信元ポート番号: データパケットの送信元ポート。

宛先ポート番号: データパケットの宛先ポート。

プロトコルタイプ: TCP、UDP、ICMPなど。

ACLを使用する必要がある理由

ACLはデバイスのフィルターとして機能し、ネットワークへの、またはネットワークからの特定のトラフィックを許可または拒否するために使用できます。ACLを使用しない場合、すべてのパケットがネットワークに自由に出入りできるため、ネットワークは攻撃に対して極めて脆弱になります。

図に示すように、財務データのセキュリティを確保するため、会社はルーターにACLを設定して特定の部門からのアクセスを禁止し、社長室のホストが財務データを閲覧するために財務部門のサーバーへアクセスできるようにしています。ルーターにACLを設定することで、ネットワークウイルスが使用する一般的なポートをブロックし、悪意のあるトラフィックによるネットワークへの侵入を防ぎ、社内ネットワークのセキュリティを保護することもできます。

ACLでできること

ACLは、主にネットワークに対して以下の機能を実現できます：

アクセスセキュリティの確保: ACLは、事前にルールを設定することで、ユーザーによるストレージサーバー、ネットワーク、サービスへのアクセスを許可または拒否できます。これにより、企業の機密情報の漏洩を回避し、不正アクセスのリスクを防止できます。

ネットワーク攻撃の防止：ネットワークウイルスが会社の内部ネットワークに侵入した場合、ACLは高リスクのポートと外部トラフィックをブロックして、損失を防ぐことができます。

帯域幅の利用率を向上：ACLは、初期優先リストに基づいて特定のアプリケーションを正確に識別し、制御できます。輻輳が発生した場合、主要アプリケーションのサービス品質を確保し、優先度の低い他のサービストラフィックを制限することで、帯域幅の利用率を向上させます。

ACLの適用

QoSでACLを使用して通信を制限する

社内では、財務部門と営業部門に、異なるネットワークセグメントの2つのIPアドレスが割り当てられています。部門間のアクセスが制限されていない場合、情報漏えいのリスクが生じます。そのため、情報セキュリティを確保するために、2つの部門を接続するルーターにACLを設定して、両部門間の相互アクセスを制限することで、情報セキュリティを保護できます。

ファイアウォールにACLを適用する

ご存じのとおり、ファイアウォールは内部ネットワークと外部ネットワークの境界に配置され、外部ネットワークから内部ネットワークへの攻撃を防ぎます。ACLにもトラフィックをフィルタリングする役割があるため、ファイアウォールにACLを配置してもファイアウォールの機能に影響を与えないだけでなく、セキュリティを強化し、ネットワークセキュリティを保護する役割を果たします。図に示すように、ファイアウォールにACLを設定することで、PC Aのみに内部ネットワークへのアクセスを許可し、その他の外部ネットワークホストからのアクセスを拒否できます。

結論

一般に、ACL はネットワークセキュリティを保護する重要な要素として、異常なトラフィックをフィルタリングし、情報漏えいを防止できます。ルールを策定することでユーザーアクセスを許可または拒否し、それにより企業ネットワークを侵害から保護します。ACL についてご質問がある場合は、QSFPTEK の CCIE/HCIE エンジニアまでお気軽にお問い合わせください [email protected].